SSL 连接到 Google Cloud Postgres

积累知识，胜过积蓄金银！毕竟在Golang开发的过程中，会遇到各种各样的问题，往往都是一些细节知识点还没有掌握好而导致的，因此基础知识点的积累是很重要的。下面本文《SSL 连接到 Google Cloud Postgres》，就带大家讲解一下知识点，若是你对本文感兴趣，或者是想搞懂其中某个知识点，就请你继续往下看吧~

我已将 postgres 数据库迁移到 google cloud sql。

如果没有启用 ssl，我可以毫无问题地进行连接。

但是我正在努力让 ssl 连接正常工作。

我正在使用 pgx 池驱动程序。

我已经下载了服务器、客户端和私钥 pem 文件。

我收到的错误消息是

无法写入启动消息（x509：由未知机构签名的证书）

serverCert, err := ioutil.ReadFile("server-ca.pem")
    if err != nil {
        log.Fatal(err)
    }

    clientCert, err := ioutil.ReadFile("client-cert.pem")
    if err != nil {
        log.Fatal(err)
    }

    caCertPool := x509.NewCertPool()
    ok := caCertPool.AppendCertsFromPEM(serverCert)
    ok = caCertPool.AppendCertsFromPEM(clientCert)
    fmt.Println(ok)

    keypair, err := tls.LoadX509KeyPair("server-client-certs.pem", "client-key.pem")
    if err != nil {
        log.Fatal(err)
    }

    tlsConfig := &tls.Config{
        Certificates: []tls.Certificate{keypair},
        ServerName:   s.Host,
        ClientCAs:    caCertPool,
        ClientAuth:   tls.RequestClientCert,
        GetClientCertificate: func(*tls.CertificateRequestInfo) (*tls.Certificate, error) {
            return &keypair, nil
        },
    }

    connectionString := fmt.Sprintf("host=%s port=%d user=%s password=%s dbname=%s connect_timeout=%d sslmode=require",
        s.Host, s.Port, s.User, s.Password, s.Name, s.ConnectTimeout)

    connConfig, err := pgxpool.ParseConfig(connectionString)
    if connConfig != nil {
        connConfig.ConnConfig.TLSConfig = tlsConfig
    }

    var pool *pgxpool.Pool

    pool, err = pgxpool.ConnectConfig(context.Background(), connConfig)

解决方案

您的 tls.config 存在许多问题，我建议您阅读 the docs 以了解每个字段的作用。

构建 ca 池：

certpool 应包含用于签署服务器证书的 ca 证书，即 server-ca.pem。它不需要客户端证书。

指定 ca 池：

clientcas是服务器用来验证客户端证书的ca池，仅在服务器端使用。您需要在 rootcas 中指定您的 ca 池。

这就是您的问题的原因，您的客户端正在尝试验证服务器证书但不知道其 ca。

其他字段：

clientauth 是一个服务器端字段，用于强制执行特定的客户端证书行为，在客户端设置时无效。

只要设置了certificates，就不需要getclientcertificate，您可以将其删除。

您还应该仔细检查您的客户端证书。您正在加载密钥对 server-client-certs.pem / client-key.pem。如果这些确实是客户端证书和密钥，那么应该没问题。

假设您可以连接到数据库主机（在防火墙中列入白名单），您的证书全部正确（服务器的 ca 证书、客户端证书和客户端密钥），此处列出的更正将允许您连接。

完成这一切之后，您的代码将变为：

caCertPool := x509.NewCertPool()
    ok := caCertPool.AppendCertsFromPEM(serverCert)
    fmt.Println(ok)

    keypair, err := tls.LoadX509KeyPair("server-client-certs.pem", "client-key.pem")
    if err != nil {
        log.Fatal(err)
    }

    tlsConfig := &tls.Config{
        Certificates: []tls.Certificate{keypair},
        ServerName:   s.Host,
        RootCAs:      caCertPool,
    }

最后注意：server-ca.pem 不是服务器证书，它是用于签署服务器证书的 ca 证书。客户端不会提前知道服务器证书，它将在 tls 握手期间收到它。

好了，本文到此结束，带大家了解了《SSL 连接到 Google Cloud Postgres》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多Golang知识！